新闻、仓库与研究，按时间排列。
DFKHelper 在 GitHub 发布 token-goat，一款通过拦截 AI 工具读写来自动降低 token 用量的开源工具，宣称可减少 40–90% 的 token 消耗。它以 hook 形式拦截重复读文件、全文件读取、大截图和构建日志等六类浪费，支持 Claude Code、Gemini CLI、Codex CLI、Aider、Cursor、Cline 等 20 多个 AI 编码工具，并对所有抓取内容加不可信内容围栏以防提示词注入。README 附带基准数据，如在 13,870 次真实读取样本中 Markdown 大纲模式扣下 40.4% 的字节，截图可压缩约 91%，安装仅需 npm install -g token-goat 后运行 token-goat install。
postgresql-mcp-js 是一个基于 Bun 运行时的 MCP（Model Context Protocol）服务器，用于简化 PostgreSQL 数据库的连接与交互。该项目提供 Windows .exe、Mac .dmg、Linux .tar.gz 安装包，无需编程知识即可通过图形界面进行查询、插入等数据库操作，支持本地和云端数据库连接。系统要求 Windows 10、MacOS 10.15 或较新 Linux 发行版，建议 2 GB 内存、500 MB 磁盘空间，需安装 Bun 运行时。
TAIPANBOX 在 GitHub 发布开源代理网关 TokenFuse，置于 Agent 与 LLM 提供商之间，实时核算每次调用的真实成本，超预算或检测到循环时在请求路径上返回 HTTP 402，在提供商计费前切断调用，改一行 base URL 即可接入。它还内置 MCP 工具投毒与 rug-pull 扫描器（可作 GitHub Action 门禁 CI）和凭据 broker，把密钥以 {{secret:name}} 句柄形式隔离在模型上下文之外。
推荐理由：原文给出三大云上的实测数据和逐次预算熔断结果，读者可以据此评估这个代理网关在真实基础设施上的表现。
justinbarrow30 在 GitHub 开源了 CerberusAI，一个只读的 agentic SOC，接入用户的 SIEM 并可搭配任意已批准的 LLM，通过自学习的网络基线对告警给出 auto-close 或 escalate 判定。核心推理基于确定性的统计与拓扑图（如 z-score 和前所未有的边检查），配可选的 Isolation Forest 加 autoencoder 集成异常检测层，ensemble 在留出评测中达到 ROC-AUC 0.996、F1 0.973；已支持 Wazuh、Elastic Security、Security Onion，Sentinel 适配器已构建待实机验证，通过 MIT 协议发布，可用 python lab/demo_fixture.py 复现演示。
推荐理由：原文完整给出了架构、只读安全设计、SIEM 适配和评测数据，读者可以直接克隆复现这个 agentic SOC 方案。
GitHub 开源项目 NomosGuard 是一个确定性安全推理核心，由 append-only SHA-256 哈希链证据账本、MulVAL 风格规则引擎和 fail-closed 策略门（ALLOW / ALERT / BLOCK）组成。LLM 只能读取事件、撰写带证据引用的结构化声明并解释决策，不能跨越决策边界。核心已实现并通过 51 项测试，基准测试 6 个场景 recall 2/2 = 100%、误报 0，采用 Apache-2.0 许可证。
GitHub 上的 agent-observability 实验室项目已于 2026-10-08 结束，验证了平台可在不记录提示词与响应内容的前提下生成审计级 Agent 追踪。项目基于 LangGraph、MCP、LiteLLM、OpenTelemetry 和 MLflow 在 Kubernetes 上构建多智能体工作流，三个阶段全部完成，涵盖端到端追踪、六个强制治理控制点和四个 Perses 仪表盘。假设在四个问题中三个完全成立，第四个存在两项诚实的限制。
coreymathie 开源 secure-voice-agent，一个可接听电话、收款并写入业务系统的语音 AI Agent，在模型与所有工具之间放置确定性防护层：默认拒绝的允许列表、社工风险评分、向档案号码发送一次性码的 step-up 验证、限速、PII 清洗、哈希链审计日志和幂等签名请求。技术栈为 Pipecat 1.x、Twilio Media Streams、OpenAI Realtime（或 Claude+Deepgram+ElevenLabs、Gemini Live）、AWS Lambda 与 Fly.io。
推荐理由：原文把每个安全控制的代码位置、对应测试和失败模式都列了出来，读者可以直接复用这套在模型外做确定性防护的方法。
Thyra-AI 在 GitHub 发布 llm-env-vault，一个 MCP 服务器，把 .env 文件中的真实密钥替换为编号占位符并存入密码加密的本地保险库。AI 智能体只能读到占位符；运行真实命令时通过智能体无法操作的 GUI 密码对话框授权注入。v2 格式采用 scrypt 密钥派生与 AES-256-GCM，支持纸面恢复密钥、8 小时可信命令缓存和 .levault 整文件加密，可作 Claude Code 插件安装。作者明确了威胁模型边界：不防护已持有主密码或可驱动 GUI 的智能体，加密后原文件的删除是尽力而为，离线攻击 vault.enc 的强度取决于密码长度。Windows 是受测平台，macOS/Linux 需 PATH 上有 python。
推荐理由：原文详细说明了占位符替换、加密格式和威胁模型的边界，读者可以据此评估这个把 .env 密钥隔离在 AI 编程智能体之外的方案是否适用。
kisubkim 发布 AIBridge，让封闭内网的本地 AI（Open WebUI）不直接联网，通过开发 PC 上的 FastAPI 网关经 SSH -R 隧道获取网页搜索（SearXNG）和网页正文。网关仅绑定 127.0.0.1 并以 API Key 认证，内置 SSRF 与 DNS rebinding 防护、域名黑白名单和限流，仓库含安装脚本、操作手册 doc/HANDS-ON.md 与 MIT 许可。
推荐理由：面向封闭内网环境的 Open WebUI 联网检索方案，给出 SSH 隧道网关的完整搭建步骤与 SSRF 防护细节。
开源工具 telegram-cli 可将 Telegram 账号接入 Claude Code、Cursor、GitHub Copilot、Grok、Codex 等 AI 智能体，让智能体读取消息并以 JSON 结构化数据（含发送者、时间戳、内容和媒体链接）自动回复。它支持 Windows 10/11，需 200MB 磁盘空间，凭据本地存储，并可将消息发送至用户选定的 AI 服务。
richardsondx 发布 callgate，一个 AI Agent 工具调用的预执行策略门控，每次调用按版本化策略返回 allow、deny、require_approval、redact、defer、escalate、simulate 七种类型化决策，无运行时依赖，npm 包名 callgate。
推荐理由：原文讲清了在工具函数层拦截 Agent 调用的做法和审计日志结构，读者可以直接按 quickstart 迁移到自己框架里复用。
GitHub 上的 snakebite 是一款面向 Windows 的 PyPI 包风险检查工具，通过启发式分析结合 LLM 过滤，识别凭据窃取、代码混淆和供应链攻击迹象。它将结果分为低、中、高关注等级，支持单个包名或按 .txt/.csv/.json 文件批量扫描，推荐 Windows 10/11、4 GB 以上内存和 200 MB 磁盘空间，无需 Python 知识即可使用。
richardsondx 发布 ground-rules，一个把自然语言 Agent 规则编译成机器可执行 policy JSON 的工具，配合 callgate 在每次工具调用前强制执行。compileRules 离线确定性编译，validatePolicy 检测规则冲突、不可达规则和过宽 allow，未覆盖的表达可用 compileWithModel 调用自定义 LLM 生成并经验证器把关。零运行时依赖，MIT 协议。
推荐理由：原文给出了从自然语言规则到可验证 policy JSON 的完整编译流程与规则冲突检测方法，做法可以直接迁移到自己的 Agent 约束场景。
GitHub 仓库 Addyk-24/Niyam-AI 发布，为 LLM 智能体的每次工具调用附加 zk-SNARK 证明，第三方约 50.7 ms 即可验证且无需模型权重。在 Agent-SafetyBench 2,000 个场景的 5 折交叉验证中 F1 达 88.8%，高于 NeMo Guardrails（40.4%）、GPT-OSS-Safeguard-20B（46.2%）和 Llama Prompt Guard 2（66.8%），但作者注明 Judge 拟合了基准分布而基线为零样本；红队 18 个攻击向量修复后全部拦截，已知缺口是门控读取的 PyTorch 输出与被证明的电路输出尚未绑定，证明生成约 1.7 秒，适合低频高风险操作。
推荐理由：仓库同时给出了与 NeMo Guardrails 等基线的 F1 对比、消融、红队结果和已知缺陷说明，便于读者评估 zk-SNARK 护栏的真实代价。
Eric-huang799 在 GitHub 开源了 Duplex，一个基于 Electron 的桌面浏览器，让人类与 AI 共用同一标签页和实时会话：人看渲染页面，AI 通过 24 个 MCP 工具读 DOM 和页面源码。内置 agent 支持 DeepSeek、Kimi、Qwen、GLM、Ollama 等 OpenAI 兼容 API，可镜像 opencode、Codex、Claude Code 会话到侧面板，提供 F2 / Ctrl+Shift+K 紧急停止键和页面标注功能。v0.2.6 新增全快捷键自定义、书签管理器和流程内查找栏；作者提醒 AI 驱动真实浏览器会话涉及登录态和 cookie，误操作可能触及真实账户数据。项目采用 MIT 许可证。
推荐理由：原文给出了 Duplex 与 browser-use、Playwright MCP 等方案的对比表和安全边界说明，读者可以评估这种人机共用浏览器会话的取舍。
kkcyber2 在 GitHub 开源了 Bounty Machine（bountymode），一个授权优先的漏洞赏金工作流框架，不自己实现攻击，而是通过默认拒绝的授权门编排安全测试，输出可提交的 HackerOne / Bugcrowd 格式报告。框架内置 ai_llm（19 项技术，含 prompt injection、jailbreak、RAG poisoning 等）、web_api、cloud、cicd 四个域，支持真实 CVSS v3.1 打分、证据脱敏哈希链存储、N-of-M 复现验证、指纹去重，新增域只需写一个 adapter；默认 dry run，破坏性技术无条件拦截，需 Python 3.9+，核心零运行时依赖，MIT 许可。
gebruder 在 GitHub 开源了 Wirken，一个面向自主 Agent 的企业网关，以单个静态 Rust 二进制分发，MIT 许可。网关将 Telegram、Slack、Teams 等消息渠道接入 Agent，核心假设 Agent 本身不可信：凭据保存在加密 vault 中不进入模型上下文，每个动作执行前写入哈希链审计日志，默认最低权限，shell 命令在无网络的临时容器沙箱中运行，且按 Agent 设置支出预算。模型连接不绑定厂商，可接 frontier API、Ollama 本地权重或欧盟托管端点。README 明确列出已知局限，包括出口流量未完全隔离、沙箱可关闭、注入检测只标记不拦截、权限按 Agent 而非按用户生效等。
推荐理由：该仓库写明了权限模型、沙箱与审计的实现边界，并列出逃逸开关和已知局限，方便读者评估这类企业 Agent 网关的适用场景。
GitHub 上的 agent-mesh-demo 项目展示服务网格如何补足 AI Agent 认证之后的授权问题，包括可调用哪些工具、代表谁、经哪些 Agent、模型 token 预算和可发给模型的数据。Demo 基于 Solo 版 Istio ambient 模式运行，Solo Enterprise for agentgateway 作为同一控制平面上的 waypoint，无 sidecar、Agent 内无安全代码。
0xv3nm09 在 GitHub 发布 rca-warba，一个面向 Ignyte by DIFC × Warba Bank Corporate Banking AI Challenge Track 2 的智能关系交接原型，维护带来源引用的客户关系档案并要求每项关键事项有负责人和日期后才能完成交接。原型强制五条规则，包括模型不决定状态、不可信文本只作数据并标记注入、数字从结构化字段复制；合成数据上实测数字精确率 100%、关键事项召回 7/7、跨组泄漏和注入成功均为 0，附 51 个自动化测试与 hash 链审计日志，支持 docker compose 一键启动并可选接入 Groq 或 Ollama 本地模型。
regnant-io 在 GitHub 开源了 Cordon，一个部署在本地模型运行时之前的保密推理控制平面，提供客户端证书身份、按客户端策略与限速、输出内容过滤、防篡改审计日志和逐响应 Ed25519 签名。它监督 llama.cpp 的 llama-server 作为唯一入口运行，支持 light 到全气隙 dark 共五种部署模式；README 区分了已测试能力、依赖 TPM 2.0 与 AMD SEV-SNP 硬件的能力、未实现部分（如 SGX-DCAP、证书吊销）以及有意保留的弱点。
推荐理由：原文用很大篇幅说清哪些保证已实测、哪些依赖硬件、哪些是有意保留的弱点，读者可以据此评估它是否适合自己的保密推理部署。
GitHub 仓库 scadastrangelove/awesome-ai-security-tools 收录了 AI 安全与 AI 辅助网络安全领域的开源、研究和商业工具，覆盖安全发现自动分诊、AI Agent 安全、AI/ML 供应链、渗透测试 Agent、AI SAST、LLM 红队测试及 SOC/SIEM 分诊等类别。清单用 🟢🔬🟠⚠️ 标注许可证状态，并提供脚本刷新 GitHub star 数据，最近一次刷新为 2026-10-08。收录项目包括 Arm 的 Metis、腾讯朱雀实验室的 AI-Infra-Graf（★ 6,789）等。
GitHub 仓库 Avesrarity821/robopotato 是一个安全 AI 智能体集群项目，提供密码学身份、命名空间共享状态和乐观并发控制三项核心能力。仓库目前仍处早期阶段，尚未获得 stars、forks，也没有 Releases 和其他贡献者。
duki-core 在 GitHub 发布 llm-output-guard，一个厂商无关的轻量库，针对本地/自托管 LLM 应用的四类安全问题：系统提示词泄漏、文本标记与结构化 tool call 的未授权动作执行、以及经 RAG 内容的间接提示词注入。库内含 PromptLeakGuard 三层检测（字符串匹配、嵌入相似度、LLM judge）、ActionGate 用户确认门控、context_guard 输入清洗和 ToolCallGuard 结构化调用校验，作者从基于 LM Studio 的本地聊天伴侣项目中抽出，MIT 许可，并明确说明这是启发式纵深防御而非正式安全保证，流式与 async 支持尚未实现。
推荐理由：这个开源库把系统提示词泄漏、幻觉动作执行和间接注入拆成四类问题，并诚实列出了每层防御的失效条件，方法可直接迁移到本地 LLM 应用。
作者 /u/Slight_Analysis_5414 在 RTX PRO 6000 上用 vLLM 0.29.1rc1 nightly + Qwen2.5-1.5B-Instruct 与 Ollama 0.40.1 + qwen2.5:7b（Q4_K_M）各跑 96 次，共 192 次 live 测试，验证其确定性执行守卫 CLIM Agent Guard。结果为 80/80 未授权操作被拦截、16/16 合法删除被执行并验证，无守卫时伪造授权等场景 32/32 全部执行。守卫不读提示词、不用第二个 LLM 评审，只对照宿主状态检查工具调用的授权、目标和重复提交。
推荐理由：作者用 192 次本地实测给出确定性行为守卫的前后对照数据，还记录了 vLLM 与 Ollama 在 tool_choice 上的行为差异，可作工程参考。
GitHub 开源项目 LLM-Guardrail 是一个 OpenAI 兼容的 PII 治理与匿名化反向代理平台，面向 nvidia/Qwen3.6-35B-A3B-NVFP4 等本地 SLM/LLM，集成 Neon PostgreSQL 数据库与 Clerk Auth，支持 Docker Compose 部署。平台覆盖 HIPAA Safe Harbor 与 DPDP 的 15 类 PII 类别（含姓名、SSN、电话、IP、VIN 等），并为每个用户提供带 user_uuid 的个性化代理 URL，可按 OpenAI Compatible 方式配置到 Cline。
astrid-runtime 在 GitHub 发布 Astrid 2026.9.0，一个基于 WebAssembly capsule 的用户态运行时，目标是让软件组合时不互相继承权限，未来方向是独立操作系统。核心安全思路是把权限放进运行时而非提示词：ed25519 签名的能力令牌、无环境权限的 Wasmtime 沙箱、五层独立 fail-closed 机制和签名审计链；每个 principal 拥有隔离的存储、配额和审计。新版本加入卷式持久状态、macOS FSKit 与 Linux FUSE 挂载、Linux MUSL 归档和可断点续装的 capsule 安装，支持 MIT/Apache 2.0 双许可。
推荐理由：原文详细拆解了用 WASM 沙箱和签名能力令牌替代提示词信任的分层安全机制，读者可以对照自家 Agent 部署评估可借鉴之处。
HackingGate 在 GitHub 开源了 uphold v1.26.0，一个在操作发生前拦截编码智能体或人类危险行为的工具，覆盖强推远程分支、提交凭据、提交被策略拒绝的内容（如带 AI 作者标记）以及通过 MCP 发布被拒文本四类接缝。工具提供 git shim、内容扫描、Git 守卫和智能体 hook，配合 policy/principles.toml 声明规则并用 policy/upheld.toml 声明原则与规则的对应关系；据其 2026-09-23 统计有 88 个仓库采用了 uphold 策略。可通过 cargo install 或 pre-commit/lefthook 清单安装，支持 gitleaks 供应链扫描和跨仓库 hook 声明一致性比较，采用 Apache-2.0 许可证。
sushant-me 在 GitHub 发布了论文《LLM Agent Firewall》的可复现实现，包含 6,000 条确定性智能体间消息语料、亚毫秒级 TF-IDF + 逻辑回归分类器，以及置信度校准的两层路由，仅升级不确定流量给语义判官。在 CPU 上约一分钟跑完全部核心结果，无需 GPU、API 密钥或网络。实测 Strata I+II held-out 准确率 1.000、0 误报 0 漏检，分类器平均延迟 0.333 ms，5% 隐蔽攻击占比下混合延迟 271.5 ms（比全部走判官快 19.9 倍）。
推荐理由：作者复现了论文的多智能体提示词注入防火墙方法，还披露了语料格式混淆这类基准设计陷阱，做法对自建评测的人有参考价值。
作者开源 monkeyleash，一套让不会逐行读代码的人监督 AI 编码代理的治理工作流，前身是 agent-gates。核心思路是提示词只是建议、文件和 hook 才是约束：仓库含 9 条规则（R1–R9）加用户级 G1、 outpost 与 pre-commit 双层执行、六站主管线、带哈希链的账本、只读 MCP 服务器和 148 条摩擦日志（编号至 F-159）。作者明确说明仅在 Windows 上用 Claude Code 自测过，1313 项本地测试通过，尚未有外部使用者验证。
作者开源了 AgenticInvestingEngine，一个针对 Borsa İstanbul 的多智能体研究系统，由一个 supervisor 智能体调度技术面、新闻风险、土耳其宏观和公司公告四个专项智能体并撰写报告。系统通过 MCP 对外提供八个工具，Claude Desktop 和 Cursor 可直接调用；防护措施包括对第三方文本的英文和土耳其语注入筛查、报告数值与工具数据的核对及免责声明，测试中检出全部 19 个攻击样本、误报 12 条正常句子中的 0 条。每次完整分析约 15,800 tokens、11 次 LLM 调用，支持 Groq 或本地 Ollama，采用 MIT 许可，仅供研究教育用途。
推荐理由：这个多智能体投研引擎给出了注入筛查、数值溯源和红队评测的具体数据，对想做带防护的 Agent 系统的人有可借鉴的工程做法。
作者开源了 nl-database-agent，用自然语言查询 Postgres，Agent 生成 SQL 后以只读事务执行，失败自动重试最多 3 次，并给出解释、表格和图表，演示地址 nl-database-agent.vercel.app。安全上采用静态 SQL 守卫、READ ONLY 事务和只读角色三层独立防护，拒绝改写数据并在 schema 无法回答时明确拒绝而非编造。评测基于 43 题黄金数据集，按执行结果集而非 SQL 文本判分；作者实测发现 Llama 3.3 在拒绝类问题上仅得 2/5 而 Gemini 得 5/5，因此 CI 门禁改为与应用同模型。
推荐理由：这个开源自然语言数据库 Agent 展示了三层只读安全设计，以及用结果集对比替代 LLM 评审的确定性评测方法，可直接迁移。
Bitfloo 发布 Mailoo，一个 IMAP/SMTP/ManageSieve 的 MCP 服务器，是 email-mcp 的 LGPL-3.0 公开 fork，通过 MCP 协议暴露 56 个工具、7 个 prompts 和 6 个 resources，支持多账户读写、搜索、发送、定时邮件和分析。功能包括 OAuth2（Gmail/M365，实验性）、IMAP IDLE 实时 watcher 加 AI 分拣预设、静态规则、桌面/webhook 告警、ICS 日历提取、发送限速默认每账户每分钟 10 封；支持 npx、Docker（ghcr.io/bitfloo/mailoo）安装，配置位于 ~/.config/mailoo/config.toml。
推荐理由：README 给出完整的安装、配置和安全边界说明，读者可以直接评估这个多邮箱 MCP 服务器是否适合自己的 AI 助手工作流。
gawk-dev 发布开源工具 mcpgawk，读取 Agent 可达的 MCP 服务器，将每次调用与已批准的基线比对，拦截批准后悄悄变更的工具，全程本地运行、不上传数据。工具提供 pre-execution 拦截（约 10ms 本地决策，支持 21 个客户端中的 6 个）、沙箱实测工具行为（数据外传、SSRF、tool poisoning）、token 成本索引和完整性哈希追踪；另有付费的 mcpgawk Platform 提供 enforce 与 monitor，CLI 可通过 uv 或 pipx 安装，支持 GitHub Action CI 门禁，采用 Apache-2.0 协议。
推荐理由：针对 MCP 服务器批准后悄悄改工具的 rug-pull 问题，给出了本地拦截、沙箱实测和零外传的具体做法，方法可直接迁移。
CrowdStrike 报告称，上周韩国部分最大型银行遭到的网络攻击可能由单人实施，攻击者组合使用了开源 AI 渗透工具 ARTEX 以及 DeepSeek v4.1-Flash、GLM-5.3、Grok 4.6 和 Claude Code。帖子转发自 Andrew Curran 与 Jukan 在 X 上的讨论，并附 CrowdStrike 报告链接。
推荐理由：材料引用 CrowdStrike 报告还原事件全貌，可以看出开源渗透工具与多个商用模型组合在真实攻击中的用法。
KongFangXun 在 GitHub 开源 sofagent v1.5.7（2026-10-08 发版），定位为嵌在 DSH / OpenClaw / WorkBuddy 等 Agent 与模型层之间的 FDE Harness 治理层，进场把业务判断写成文件，离场按文件审计每次变更。包含 28 条审计规则（22 条基于 git diff）、104 个 MCP tool、快照回滚与 HMAC 举证链，支持 npx 零配置试用（审计约 1.1s）；按宿主分四档挂载，仅 DSH/OpenClaw 可逐工具调用硬拦截，其余为建议性注入加 git hook 兜底，且默认非 fail-closed，--no-verify 可跳过前两层防线。
推荐理由：开源 Agent 治理层项目自述，给出了挂载档位、规则数和绕过边界等具体设计细节，可了解给数字员工做审计与回滚的一种工程思路。
Torvi 是一款面向印度住宅小区的 WhatsApp 优先 AI 助手，基于 AWS Serverless 与 Amazon Bedrock Agents（Claude Haiku 4.5）构建，住户可用英语、印地语、泰卢固语或混合语言查询费用，无需 App 和登录。该仓库公开架构设计、安全模型与决策记录，LLM 从不做授权决策，写操作仅在带认证的管理后台完成。试点为一个海得拉巴 11 户小区，自 2026 年 4 月上线，数据全部留在 ap-south-1（孟买）区域。
OpenA2A 开源了 Secretless，一个防止 AI 编码工具读到 API 密钥的 CLI 工具，当前版本 v0.23.1，采用 Apache 2.0 协议。它扫描项目中的硬编码凭据（57 种模式）并迁移到 OS keychain、1Password、HashiCorp Vault、GCP Secret Manager 或 AES-256-GCM 加密文件；对 Claude Code 通过 PreToolUse 钩子和 18 条 deny 规则拦截读取凭据文件的工具调用，Cursor、GitHub Copilot、Windsurf、Cline、Aider 则仅靠指令文件约束。
推荐理由：工具README讲清了钩子门控与输出检查两类防护的边界，连防不住的暴露通道也明说，适合评估AI编码工具的密钥防护方案。
作者开源了 agentic-devflow，一个半自主开发智能体框架，可做 issue 分诊、把 Jira 工单变成带测试的 PR、审查 diff 和更新文档，用 n8n 处理触发与人工审批、MCP 提供工具，模型可用 Claude 或通过 Ollama 自托管的开源权重模型。核心是风险分级策略：工具按 read/write/publish/critical 四级分类，超过 autonomy 上限的操作会暂停等待人工批准，合并永远需要人确认，未分类工具默认按 critical 处理。
推荐理由：开源的半自主开发智能体框架，作者用7B模型实测了注入防御规则开关的前后差异，policy设计细节可直接借鉴。
tgockel 开源了 outrig，在宿主机运行基于 Rig 的 LLM 智能体，并把 filesystem、shell 等 MCP 服务器放进 podman 容器内实现工具沙箱隔离。用户在仓库中用 Dockerfile 和 .agents/outrig/config.toml 定义沙箱，运行 outrig run 进入 stdin/stdout REPL 与智能体对话；支持 Linux x86-64 与 AArch64，WSL2 可用，macOS 和原生 Windows 不支持，采用 Apache License 2.0。
推荐理由：原文给出了沙箱配置文件结构和 CLI 用法，读者可以照着把 MCP 工具隔离进 podman 容器里复现。
开发者 joymin5655 开源了 Agent v0.6.0（MIT 协议），一个跨厂商的 AI 编码 agent 安全 harness，核心是把拒绝密钥访问、拦截破坏性命令、核对 done 声明等约束做成工具边界的机器闸门而非提示词措辞，核心规则写一次即可同时覆盖 Claude Code、Codex CLI 和 Antigravity CLI。完成核验采用 refute-by-default，低置信或判官崩溃一律判 REFUTED；98 个自检脚本由 CI 运行，docs/reality 测试保证文档与仓库一致。8 个植入 bug 的盲测中其双 agent 组合检出 8/8、0 误报，对比栈 oh-my-claudecode 同为 8/8 但有 1 个含糊误报，作者自评为接近打平。
推荐理由：这个 harness 把完成声明核验、密钥拦截等做成工具边界的机器闸门而非提示词约束，其跨厂商同事件同决策的实测设计可借鉴。